Accorgersi che il proprio sito web è stato hackerato non è sempre immediato. In alcuni casi l’attacco è evidente: il sito mostra contenuti sconosciuti, reindirizza verso pagine sospette oppure non consente più di accedere al pannello di amministrazione.

In altri casi, invece, il problema rimane nascosto per settimane. Il sito sembra funzionare normalmente, ma al suo interno possono essere presenti file dannosi, utenti amministratori non autorizzati, pagine spam o script utilizzati per inviare email fraudolente.

Un sito compromesso può provocare perdita di posizionamento su Google, diminuzione delle visite, danni alla reputazione dell’attività e, nei casi più gravi, sottrazione di dati personali o informazioni riservate.

Vediamo quindi quali sono i principali segnali di un sito hackerato, quali controlli effettuare e come intervenire senza peggiorare la situazione.

Come capire se un sito è stato hackerato e cosa fare per recuperarlo

Cosa significa quando un sito viene hackerato

Un sito viene considerato hackerato quando una persona o un programma riesce ad accedere senza autorizzazione ai suoi file, al database, al server oppure al pannello di gestione.

L’obiettivo dell’attacco può essere diverso a seconda dei casi. Alcuni hacker inseriscono pagine spam per sfruttare l’autorevolezza del dominio, altri installano malware, rubano dati, modificano i contenuti o utilizzano il server per inviare email di phishing.

Nei siti realizzati con WordPress, Joomla, PrestaShop o altri CMS, l’accesso può avvenire attraverso plugin non aggiornati, temi vulnerabili, password troppo semplici, credenziali rubate oppure configurazioni errate del server.

Il fatto che il sito continui a essere visibile non significa quindi che sia necessariamente sicuro.

Quali sono i segnali di un sito hackerato

Esistono diversi indizi che possono far sospettare una compromissione. La presenza di uno solo di questi segnali non dimostra con certezza che il sito sia stato attaccato, ma richiede comunque un controllo approfondito.

Contenuti modificati senza autorizzazione

Uno dei segnali più evidenti è la comparsa di testi, immagini, link o pagine che non sono stati inseriti dal proprietario del sito.

Potresti trovare articoli in lingue straniere, pagine relative a farmaci, giochi d’azzardo, criptovalute o prodotti contraffatti. In alcuni casi questi contenuti non sono visibili nel menu del sito, ma risultano comunque presenti e indicizzati da Google.

Per verificarlo puoi cercare su Google:

site:nomedominio.it

Controlla se tra i risultati compaiono titoli o descrizioni che non riconosci.

Reindirizzamenti verso altri siti

Un sito compromesso può reindirizzare automaticamente i visitatori verso pagine esterne, pubblicità invasive, falsi concorsi, siti per adulti o piattaforme potenzialmente pericolose.

Il reindirizzamento può presentarsi soltanto da smartphone, da determinati browser oppure per gli utenti provenienti da Google. Questo rende il problema più difficile da individuare durante una normale visita al sito.

Avvisi di sicurezza nel browser

Chrome, Firefox, Edge e altri browser possono mostrare messaggi come:

“Questo sito potrebbe essere pericoloso”

“Il sito contiene malware”

“Il sito che stai per visitare contiene programmi dannosi”

Questi avvisi possono comparire quando Google o altri sistemi di sicurezza rilevano codice malevolo, tentativi di phishing o download sospetti.

Ignorare il problema può provocare una drastica riduzione delle visite, perché molti utenti abbandonano immediatamente la pagina.

Notifiche in Google Search Console

Google Search Console può segnalare problemi nella sezione dedicata alle azioni manuali o ai problemi di sicurezza.

Tra gli avvisi più comuni possono esserci riferimenti a:

• pagine compromesse;
• malware;
• contenuti ingannevoli;
• download dannosi;
• pagine create da terzi;
• tecniche di phishing.

Una notifica di questo tipo deve essere presa seriamente. Prima di inviare una richiesta di revisione a Google è necessario eliminare completamente la causa del problema.

Calo improvviso del traffico organico

Una perdita improvvisa di visite da Google può essere collegata a numerosi fattori e non indica automaticamente un attacco.

Tuttavia, se il calo coincide con la comparsa di pagine spam, avvisi di sicurezza o modifiche non autorizzate, è possibile che Google abbia ridotto la visibilità del sito per proteggere gli utenti.

In questi casi è utile confrontare i dati di Google Search Console, Google Analytics e gli eventuali strumenti SEO utilizzati per il monitoraggio delle parole chiave.

Sito più lento del solito

La presenza di script dannosi può consumare risorse del server e rallentare il caricamento delle pagine.

Potresti notare errori frequenti, tempi di risposta più lunghi, consumo anomalo della CPU, superamento dei limiti dell’hosting o improvvisi blocchi del database.

Un rallentamento non è necessariamente causato da un attacco, ma deve essere analizzato se compare senza che siano state effettuate modifiche tecniche al sito.

Impossibilità di accedere al pannello di controllo

Se la password non funziona più, l’indirizzo email dell’amministratore è stato modificato oppure il tuo account è stato eliminato, qualcuno potrebbe avere ottenuto l’accesso al sito.

Un altro segnale sospetto è la presenza di nuovi utenti con ruolo di amministratore, editore o gestore del negozio.

In questo caso è importante intervenire rapidamente, perché l’attaccante potrebbe avere ancora il controllo del sito.

Email fraudolente inviate dal dominio

Un sito o un server compromesso può essere utilizzato per inviare spam e messaggi di phishing.

Potresti ricevere segnalazioni da clienti, notifiche di mancata consegna relative a messaggi mai inviati oppure avvisi dal provider di posta elettronica.

Oltre al danno di immagine, il dominio o l’indirizzo IP del server potrebbero essere inseriti in blacklist, rendendo più difficile la consegna delle normali email aziendali.

Come verificare se un sito è realmente compromesso

Prima di cancellare file o ripristinare backup è necessario raccogliere più informazioni possibili.

Un intervento frettoloso potrebbe eliminare le tracce utili per identificare la vulnerabilità e permettere all’attaccante di rientrare poco tempo dopo.

Controllare i file del sito

Accedi al server tramite il pannello dell’hosting, FTP o SFTP e verifica la presenza di file modificati recentemente.

Presta attenzione soprattutto a:

• file PHP con nomi insoliti;
• cartelle che non appartengono al CMS;
• file inseriti nelle directory di upload;
• modifiche ai file .htaccess, index.php o wp-config.php;
• script contenenti codice offuscato;
• file con date di modifica anomale.

Non cancellare automaticamente tutto ciò che non riconosci. Alcuni file potrebbero appartenere a plugin, sistemi di cache o strumenti legittimi.

Verificare gli utenti amministratori

Controlla l’elenco degli utenti del CMS e cerca account che non riconosci.

Verifica anche gli indirizzi email associati agli amministratori e le eventuali modifiche recenti ai ruoli.

Nel caso di WordPress, è opportuno controllare anche il database, perché un account nascosto potrebbe non essere facilmente visibile dal pannello.

Analizzare i log del server

I log degli accessi e degli errori possono aiutare a capire quando è avvenuto l’attacco e quale risorsa è stata utilizzata.

È possibile individuare:

• ripetuti tentativi di accesso;
• richieste verso file vulnerabili;
• upload sospetti;
• chiamate verso URL sconosciuti;
• attività provenienti da indirizzi IP anomali;
• esecuzioni frequenti di file PHP insoliti.

L’analisi dei log richiede competenze tecniche, ma può essere fondamentale per evitare che il problema si ripresenti.

Eseguire una scansione di sicurezza

Strumenti come Wordfence, Sucuri o MalCare possono aiutare a individuare file alterati, malware conosciuti e vulnerabilità.

Una scansione automatica, però, non è sufficiente a garantire che il sito sia completamente pulito. Alcuni malware sono progettati per nascondersi oppure per ricrearsi dopo la cancellazione.

Per questo motivo è consigliabile confrontare i file del sito con una copia originale del CMS, dei plugin e dei temi utilizzati.

Cosa fare immediatamente se il sito è stato hackerato

Quando la compromissione è confermata, è necessario agire con ordine.

Mettere temporaneamente il sito in sicurezza

Se il sito reindirizza gli utenti, diffonde malware oppure espone dati sensibili, valuta di metterlo temporaneamente offline o in modalità manutenzione.

L’obiettivo è evitare che altri visitatori vengano danneggiati e impedire all’attaccante di continuare a utilizzare il sito.

È preferibile limitare l’accesso a livello server piuttosto che installare un nuovo plugin, soprattutto se non si conosce ancora l’origine dell’attacco.

Contattare il provider di hosting

Informa il servizio di hosting e chiedi se sono state rilevate attività anomale.

Il provider potrebbe mettere a disposizione:

• backup recenti;
• scansioni malware;
• log del server;
• blocco temporaneo degli accessi;
• assistenza per il ripristino;
• informazioni su altri siti compromessi nello stesso account.

Se sullo stesso spazio hosting sono presenti più siti, devono essere controllati tutti. Un attaccante potrebbe infatti spostarsi da un’installazione vulnerabile alle altre.

Creare una copia del sito compromesso

Prima di effettuare modifiche, crea una copia completa dei file e del database.

Anche se il backup contiene malware, può essere utile per analizzare l’attacco, recuperare dati o confrontare i file modificati.

Non utilizzare questa copia per ripristinare direttamente il sito pubblico senza averla prima controllata.

Cambiare tutte le password

Modifica immediatamente le credenziali relative a:

• pannello di amministrazione del sito;
• hosting;
• FTP o SFTP;
• database;
• account email;
• Cloudflare o altri CDN;
• servizi collegati al sito;
• pannello del registrar del dominio.

Le nuove password devono essere lunghe, uniche e mai utilizzate su altri servizi.

È inoltre consigliabile revocare eventuali sessioni attive e attivare l’autenticazione a due fattori.

Rimuovere gli utenti sospetti

Elimina gli account che non riconosci e modifica le password di tutti gli utenti con privilegi elevati.

Controlla anche eventuali chiavi API, token, applicazioni collegate e accessi esterni.

Come pulire un sito hackerato

La pulizia deve riguardare sia i file sia il database.

Limitarsi a cancellare la pagina spam visibile spesso non risolve il problema, perché il codice che l’ha generata può trovarsi altrove.

Sostituire i file del CMS

Scarica una copia ufficiale e aggiornata del CMS utilizzato e sostituisci i file principali.

Nel caso di WordPress, ad esempio, è possibile sostituire le cartelle del core lasciando temporaneamente separati i contenuti personali, i plugin, i temi e il file di configurazione.

Non utilizzare pacchetti provenienti da fonti non ufficiali.

Reinstallare plugin e temi

Elimina e reinstalla plugin e temi scaricandoli dalle fonti ufficiali.

Un semplice aggiornamento potrebbe non eliminare file aggiunti dall’attaccante all’interno delle cartelle.

Rimuovi completamente tutti i componenti inutilizzati, disattivati o abbandonati dagli sviluppatori.

Controllare il database

Gli hacker possono inserire codice malevolo anche nel database.

È necessario controllare:

• utenti e relativi privilegi;
• impostazioni del sito;
• contenuti di pagine e articoli;
• widget;
• opzioni dei plugin;
• script inseriti nei campi HTML;
• URL esterni sospetti;
• attività pianificate.

Il database non deve essere ripristinato automaticamente da un vecchio backup senza prima verificarne la data e l’integrità.

Ripristinare un backup pulito

Quando disponibile, il ripristino di un backup precedente all’attacco può essere la soluzione più rapida.

Il backup deve però essere realmente pulito. Se la vulnerabilità era già presente, il sito potrebbe essere nuovamente compromesso dopo poche ore o pochi giorni.

Dopo il ripristino è necessario aggiornare il CMS, correggere la falla e cambiare tutte le credenziali.

Cercare eventuali backdoor

Una backdoor è un file o una modifica che consente all’attaccante di rientrare nel sito anche dopo la pulizia.

Può trovarsi in una cartella nascosta, in un plugin modificato, in un file di sistema oppure nel database.

Se non vengono eliminate tutte le backdoor, il sito continuerà a essere vulnerabile.

Cosa fare dopo la pulizia

Una volta eliminati malware, pagine spam e accessi non autorizzati, bisogna verificare che il sito funzioni correttamente.

Controlla:

• pagine principali;
• moduli di contatto;
• area riservata;
• acquisti e pagamenti;
• invio delle email;
• sitemap XML;
• file robots.txt;
• collegamenti interni;
• eventuali redirect;
• stato del certificato HTTPS;
• versione mobile del sito.

È importante verificare anche che non siano rimasti contenuti spam indicizzati da Google.

Come richiedere una nuova verifica a Google

Se Google Search Console ha segnalato un problema di sicurezza, la richiesta di revisione deve essere inviata soltanto dopo aver completato la pulizia.

Nella richiesta è consigliabile spiegare in modo chiaro:

• quale problema è stato individuato;
• quali file o contenuti sono stati rimossi;
• come è stata corretta la vulnerabilità;
• quali misure di sicurezza sono state introdotte;
• come è stato verificato che il sito sia ora pulito.

Non inviare richieste ripetute senza aver risolto il problema. Una revisione respinta può allungare i tempi necessari per rimuovere gli avvisi.

Per le pagine spam che non esistono più, verifica che restituiscano correttamente il codice HTTP 404 o 410. Evita di reindirizzare tutte le vecchie pagine compromesse verso la home page.

Come evitare che il sito venga hackerato di nuovo

La sicurezza non si risolve con un singolo intervento. È necessario mantenere il sito aggiornato e monitorato nel tempo.

Aggiornare CMS, plugin e temi

Gli aggiornamenti correggono spesso vulnerabilità già conosciute.

Rimandare per mesi può lasciare il sito esposto a strumenti automatici che cercano installazioni non protette.

Prima degli aggiornamenti più importanti è comunque opportuno creare un backup.

Utilizzare soltanto componenti affidabili

Plugin e temi scaricati da siti non ufficiali possono contenere malware già al momento dell’installazione.

Prima di utilizzare un componente, controlla quando è stato aggiornato, il numero di installazioni, l’assistenza disponibile e la reputazione dello sviluppatore.

Ridurre il numero di plugin

Ogni componente aggiuntivo rappresenta un possibile punto di ingresso.

Mantieni soltanto i plugin realmente necessari e rimuovi quelli disattivati. Disattivare un plugin vulnerabile non sempre è sufficiente: se i file restano sul server, potrebbero comunque essere sfruttati.

Attivare l’autenticazione a due fattori

La 2FA rende più difficile l’accesso anche nel caso in cui la password venga rubata.

Dovrebbe essere attivata almeno per amministratori, hosting, email aziendali, registrar del dominio e servizi cloud collegati al sito.

Utilizzare password diverse

Non utilizzare la stessa password per WordPress, hosting, email, FTP e altri account.

Un’unica credenziale compromessa potrebbe consentire l’accesso a tutta l’infrastruttura.

L’utilizzo di un password manager può aiutare a creare e conservare password complesse.

Limitare i privilegi degli utenti

Non tutti gli utenti devono avere il ruolo di amministratore.

Assegna a ciascuno soltanto i permessi necessari per svolgere il proprio lavoro. Elimina gli account inutilizzati e controlla periodicamente l’elenco degli utenti.

Programmare backup automatici

I backup devono essere frequenti, completi e conservati anche al di fuori dello stesso server del sito.

È utile mantenere più versioni nel tempo, perché l’ultimo backup potrebbe essere stato creato dopo la compromissione.

Verifica periodicamente che i backup siano realmente ripristinabili.

Utilizzare firewall e sistemi di monitoraggio

Un Web Application Firewall può bloccare una parte degli attacchi automatici, dei tentativi di accesso e delle richieste sospette.

Puoi inoltre configurare notifiche per:

• modifiche ai file;
• nuovi utenti amministratori;
• login sospetti;
• sito non raggiungibile;
• inserimento del dominio in blacklist;
• variazioni inattese delle pagine indicizzate.

Un sito hackerato può perdere il posizionamento su Google?

Sì, un attacco può avere conseguenze sulla visibilità organica.

Google potrebbe rimuovere temporaneamente alcune pagine, mostrare avvisi nei risultati, sostituire titoli e descrizioni con contenuti spam oppure ridurre la fiducia verso il sito.

Il recupero dipende dalla gravità dell’attacco, dalla durata della compromissione e dalla velocità con cui vengono eliminate le pagine dannose.

Dopo la pulizia è importante controllare regolarmente il rapporto di indicizzazione, le query di ricerca, le sitemap e le eventuali azioni manuali presenti in Search Console.

Quando è meglio rivolgersi a un tecnico

La pulizia può diventare complessa quando il sito contiene dati sensibili, gestisce pagamenti, utilizza numerosi plugin oppure è ospitato insieme ad altri progetti.

È consigliabile chiedere assistenza quando:

• non riesci più ad accedere al sito;
• il malware ricompare dopo la cancellazione;
• sono stati compromessi più siti;
• Google continua a mostrare avvisi;
• non sai distinguere i file originali da quelli modificati;
• il database contiene codice sospetto;
• sono coinvolti dati personali o pagamenti;
• il provider ha sospeso l’account.

Un intervento professionale non dovrebbe limitarsi a cancellare il malware. Deve individuare il punto di ingresso, chiudere la vulnerabilità e mettere in sicurezza l’intera installazione.

Conclusioni

Capire se un sito è stato hackerato richiede attenzione, perché non tutti gli attacchi producono effetti immediatamente visibili.

Pagine sconosciute, reindirizzamenti, nuovi utenti amministratori, rallentamenti, email fraudolente e avvisi di Google sono tutti segnali che devono essere verificati.

La cosa più importante è intervenire con metodo: creare una copia del sito, cambiare le credenziali, analizzare file e database, eliminare le backdoor, aggiornare i componenti e controllare che l’attaccante non possa entrare nuovamente.

Una volta risolto il problema, backup esterni, aggiornamenti costanti, password uniche, autenticazione a due fattori e monitoraggio continuo possono ridurre notevolmente il rischio di nuovi attacchi.